Di bawah RFC 9989 §4.7, a DMARC kebijakan dari p=none menyatakan tidak ada preferensi penanganan pemilik domain untuk kegagalan DMARC . Saat pelaporan dikonfigurasi dan ditinjau, hal ini menciptakan peluang untuk mempelajari layanan mana yang menggunakan domain tersebut, di mana pesan yang sah gagal, dan apa saja pengaruh perubahan kebijakan.
Pemantauan menjadi berguna melalui penyelidikan. Laporan perlu mencapai sistem pengumpulan, sumber membutuhkan pemilik, dan kegagalan yang belum terselesaikan memerlukan keputusan. Waktu yang berlalu atau satu persentase kelulusan yang tinggi tidak dapat membuktikan bahwa setiap layanan penting telah tercakup.
Jadikan pengumpulan pelaporan dapat diamati
Untuk domain yang memulai penerapan yang dipantau, ilustrasi kebijakannya adalah:
v=DMARC1; p=none; rua=mailto:dmarc-reports@example.comContoh ini mengasumsikan apa yang dimaksud _dmarc publikasi dan alamat pengumpulan domain yang sama yang berfungsi. Jika domain sudah memiliki kebijakan yang lebih kuat dan disetujui, jangan melemahkannya hanya untuk mencocokkan contoh. Menggunakan alur kerja rekaman untuk memverifikasi konfigurasi sebenarnya.
Mengikuti RFC 9990 §4 untuk izin eksternal dan RFC 9989 §5.3.8 untuk pelaporan penerima, periksa tujuan pelaporan, izin tujuan eksternal yang diperlukan, pengiriman dan penguraian surat. Simpan identitas pelapor, periode, dan riwayat konfigurasi yang relevan. Menerima laporan dari satu penyedia menunjukkan jalur kerja untuk observasi tersebut; itu tidak membuktikan cakupan universal.
Klasifikasikan layanan dan pertahankan ketidakpastian
Untuk setiap pola sumber yang bermakna, selidiki aplikasi, akun atau rute khusus pelanggan, terlihat Dari domain, identitas amplop, identitas penandatanganan, dan pemilik.
Gunakan kategori kerja yang jelas:
- Kategori: Layanan yang disetujui dengan jalur selaras yang diharapkan; Tindakan selanjutnya: Pertahankan kepemilikan dan pantau perubahan
- Kategori: Layanan yang disetujui gagal otentikasi atau penyelarasan; Tindakan selanjutnya: Perbaiki dan uji konfigurasi yang didukung
- Kategori: Jalur tidak langsung yang sah; Tindakan selanjutnya: Analisis penerusan, modifikasi, dan penanganan penerima
- Kategori: Sumber tidak diketahui; Tindakan selanjutnya: Pertahankan ketidakpastian dan selidiki
- Kategori: Penggunaan tidak sah yang dikonfirmasi; Tindakan selanjutnya: Catat bukti pendukung dan tanggapannya
Nama penyedia cloud, ASN , atau negara tidak cukup untuk menyetujui pengirim. Demikian pula, baris yang gagal tidak cukup untuk menyatakan setiap pesan terkait berbahaya.
Contoh yang berhasil: jendela yang tenang melewatkan penggajian
Pertimbangkan sebuah organisasi ilustratif yang meninjau sepuluh hari surat karyawan dan pemasaran. Laporannya terlihat sehat. Layanan penggajian bulanan belum terkirim selama periode tersebut, dan konfigurasi penandatanganannya belum diuji.
Kesimpulan yang benar adalah bahwa aliran sungai yang diamati tampak sehat selama sepuluh hari tersebut. Hal ini bukan berarti seluruh domain siap untuk kebijakan yang lebih ketat.
Tim dapat menyelidiki dan menguji jalur penggajian secara langsung, mengidentifikasi layanan berkala lainnya dan memperluas buktinya. Jendela observasi harus mencerminkan siklus bisnis aktual dan pertimbangan interoperabilitas yang relevan, bukan angka universal yang dipilih dari dasbor.
Pilih kebijakan yang sesuai dengan domain
Keputusan ini lebih luas daripada target tingkat kelulusan. Membutuhkan cakupan layanan penting, pemilik yang akuntabel, populasi surat tidak langsung yang dinilai, penyelesaian kegagalan berdampak besar, dan proses pemulihan.
RFC 9989 §7.4 secara eksplisit memperingatkan terhadap hal tersebut p=reject untuk email tujuan umum dan mendiskusikan domain yang penggunanya berpartisipasi dalam milis Internet. Panduan interoperabilitasnya mencakup langkah-langkah observasi dan perbandingan khusus untuk domain tersebut. Jangan ganti panduan tersebut dengan janji umum bahwa setiap domain yang dipantau pada akhirnya akan ditolak.
Domain pengirim transaksional yang dikontrol ketat dan domain yang digunakan untuk korespondensi staf umum dapat memiliki batasan pengoperasian yang berbeda. Pisahkan aliran identitas yang melayani tujuan tata kelola nyata, sekaligus memverifikasi konfigurasi yang dihasilkan dan pesan aktual.
Tentukan bukti untuk keputusan selanjutnya
Tinjauan penegakan hukum harus menjawab pertanyaan-pertanyaan ini dengan bukti:
- Apakah layanan penting yang sah telah diidentifikasi, dimiliki, dan diuji?
- Apakah setiap layanan yang terpengaruh memiliki jalur selaras yang didukung?
- Apakah aliran periodik dan volume rendah telah dipertimbangkan?
- Apakah milis, penerusan, dan rute tidak langsung lainnya dipahami?
- Apakah cakupan pelaporan dijelaskan tanpa menganggapnya sebagai semua email yang dikirim?
- Apakah pengecualian tercakup, dimiliki, dan dijadwalkan untuk ditinjau?
- Dapatkah tim menyetujui, memverifikasi, dan memulihkan perubahan yang diusulkan?
Keputusannya mungkin untuk memperbaiki pengirim, mengubah pemisahan domain, melanjutkan pemantauan atau menerapkan kebijakan yang sesuai dengan penggunaan domain yang terdokumentasi. Simpan alasannya dengan catatan perubahan.
Tetapkan pemilik untuk temuan tersebut
Tanyakan apa yang ingin dipelajari oleh tim dan siapa yang akan bertindak berdasarkan temuan tersebut. Layanan mana yang dikirimkan untuk bisnis? Pesan penting manakah yang gagal? Pengirim mana yang masih belum teridentifikasi? Bukti apa yang akan menentukan langkah selanjutnya?
Sertakan pekerjaan di luar pandangan langsung tim TI. Pemberitahuan penggajian bulanan atau pemberitahuan perpanjangan tahunan bisa menjadi penting namun memberikan kontribusi yang sangat kecil terhadap total keseluruhan pesan.
Hindari penghitungan mundur otomatis menuju kebijakan yang lebih kuat. Seminggu dengan sedikit kegagalan yang terlihat dapat berarti pengiriman yang sehat, pelaporan yang tidak lengkap, atau layanan yang belum terkirim. Bayar untuk inventaris yang dipelihara dan temuan yang ditutup, bukan sekadar hari-hari yang telah berlalu.
Lanjutkan pemantauan setelah perubahan kebijakan
Perangkat lunak baru, perubahan pemasok, rotasi kunci, dan pengeditan DNS dapat menciptakan kesenjangan baru. Lanjutkan menyelidiki pengirim baru dan kegagalan yang sah setelah perubahan kebijakan apa pun.
Jelaskan risiko yang tersisa kepada para pemimpin bisnis: penerima memiliki pilihan penanganannya sendiri di bawah RFC 9989 §5.4, dan autentikasi domain tidak mencegah setiap pesan serupa, penyusupan akun, atau permintaan penipuan. Untuk interpretasi bukti, gunakan panduan laporan agregat. Untuk kegagalan raw-pass, gunakan panduan penyelarasan.
Kesimpulan praktisnya
Output dari pemantauan harus berupa inventaris pengirim yang dimiliki, rute-rute penting yang terverifikasi, dan keputusan kebijakan yang masuk akal. Terus pantau seiring perubahan lingkungan sehingga perubahan aplikasi, kunci, atau gateway di kemudian hari tidak secara diam-diam membuka kembali celah yang sama.
Catat keputusan dan batasannya
Untuk jangka waktu sepuluh hari fiktif, biarkan penggajian bulanan sebagai belum teruji daripada menandainya sehat. Tambahkan pemiliknya, alur kerja berikutnya yang representatif, dan bukti yang diperlukan untuk menutup kesenjangan tersebut. Jika pengumpulan berfungsi tetapi aplikasi tidak pernah terkirim, analisis lebih lanjut terhadap laporan yang sama tidak dapat menetapkan autentikasinya. Tidak ada laporan atau tes penggajian yang dikumpulkan untuk ilustrasi ini.